رصدت Microsoft Security Research نمطاً نشطاً من الاختراقات السحابية يبدأ بإقناع الموظف بضرورة تحديث passkey أو المصادقة متعددة العوامل (MFA) أو تسجيل الدخول الموحد (SSO)، قبل أن يتحول إلى اختراق للهوية والوصول إلى بيانات Microsoft 365. ووفق الشركة، شوهد هذا النشاط منذ مايو 2026 عبر حسابات متعددة، وتبعته عمليات تسجيل دخول غير اعتيادية، وإضافة وسائل مصادقة جديدة، واستطلاع واسع باستخدام Microsoft Graph، ثم الوصول إلى ملفات SharePoint وOneDrive ومحتوى البريد الإلكتروني.
لا يكون تسجيل passkey هو الهدف الفعلي في كثير من الحالات. إذ يستخدم المهاجمون هذا الموضوع كذريعة لتوجيه الضحية إلى صفحات تصيد أو إلى تدفق device code. وفي هجمات adversary-in-the-middle (AiTM)، يمكن اعتراض بيانات الاعتماد ورموز الجلسات، بينما يوافق المستخدم في هجوم device code، من دون علمه، على منح عميل يسيطر عليه المهاجم رمز وصول إلى الموارد المسموح بها.
من المكالمة الهاتفية إلى السيطرة على الهوية
تبدأ الحملة غالباً بمكالمة أو رسالة إلى رقم الهاتف الشخصي للموظف من شخص ينتحل صفة مكتب الدعم، مع خلق إحساس بالعجلة. وقد يُرسل رابط التصيد عبر SMS إلى الهاتف الشخصي، ما يقلل الأدلة التي تظهر في أدوات مراقبة الأجهزة إذا لم يكن الهاتف مسجلاً في Microsoft Defender for Endpoint. كما رصدت Microsoft رسائل مشابهة عبر Microsoft Teams من حسابات موظفين مخترقة، وهو ما يزيد مصداقية الطلب.
يستفيد المهاجمون من معلومات منشورة عن الموظفين وبنية المؤسسة، وينشئون نطاقات سريعة التبدل تضع اسم المؤسسة ضمن نطاق فرعي، مثل نمط companyname.maliciousdomain.com. وتؤكد Microsoft أن تسجيل بعض هذه النطاقات لدى مسجل معين لا يمثل دليلاً على تورط المسجل.
إضافة MFA ثم استطلاع البيئة السحابية
بعد الدخول، يسعى المهاجم إلى تثبيت وجوده عبر تسجيل رقم هاتف أو تطبيق مصادقة أو رمز OTP برمجي تحت سيطرته. وقد وجدت التحقيقات حالات استُخدمت فيها جلسات استمرت نحو ساعة لاستعراض تطبيقات الإدارة والملفات الداخلية، وحالات أُعيد فيها استخدام بيانات اعتماد مخترقة بعد تسجيل تطبيق المصادقة قبل أيام.
يُستخدم Microsoft Graph لاحقاً لجرد المستخدمين والمجموعات والأدوار والتطبيقات والخدمات والمواقع وصناديق البريد. وترى Microsoft أن طلباً منفرداً إلى مسارات مثل /users أو /groups قد يبدو طبيعياً، لكن تسلسل الطلبات من الهوية أو التطبيق أو رمز الوصول نفسه عبر عدة فئات، ثم انتقاله إلى الملفات والبريد، يشكل مؤشراً أقوى على الاستطلاع المتبوع بجمع البيانات.
جمع تدريجي للملفات والبريد
بعد الاستطلاع، رصدت الشركة نشاطاً مرتفع الحجم للوصول إلى ملفات SharePoint وOneDrive وتنزيلها، إضافة إلى جمع البريد عبر واجهات REST في بعض الحالات. وظهرت مؤشرات على الأتمتة، منها استخدام user agent باسم python-httpx، لكن Microsoft تحذر من اعتباره دليلاً كافياً بمفرده. كما جرى جمع البيانات بوتيرة محسوبة؛ إذ بقيت بعض العمليات تحت ألف ملف أو رسالة في الساعة واستمرت من ساعات إلى أيام، ما قد يجعلها أقل لفتاً للانتباه من عملية سحب سريعة.
ما الذي ينبغي على فرق الدفاع مراقبته؟
- ربط تسجيلات الدخول غير المعتادة بإضافة وسائل مصادقة، وإصدار الرموز، ونشاط Microsoft Graph، وتنزيلات SaaS أو البريد.
- مراجعة وسائل المصادقة والأجهزة الجديدة وإزالة غير المصرح بها، ثم إبطال الجلسات والرموز وإعادة ضبط بيانات الاعتماد للحسابات المؤكدة الإصابة.
- تطبيق MFA مقاومة للتصيد، واشتراط الأجهزة المُدارة والمتوافقة، وتقييد تسجيل معلومات الأمان وتدفقات device code عند غياب حاجة عمل واضحة.
- مراجعة موافقات التطبيقات والخدمات ذات صلاحيات Graph الحساسة، وتفعيل سجلات نشاط Graph وتدقيق صناديق البريد والتنبيه إلى الاستطلاع والتنزيلات غير المعتادة.
القراءة التحريرية: التغير الأهم هنا ليس ظهور صفحة تصيد جديدة، بل انتقال الهجوم من خداع المستخدم إلى استغلال الهوية كمسار متكامل: تثبيت MFA، ثم الاستطلاع، ثم جمع البيانات. لذلك لا تكفي مطابقة نطاق أو عنوان IP منفرد؛ فالفاعلية الدفاعية تعتمد على ربط إشارات الهوية والواجهات السحابية وسلوك الوصول. وتنسب Microsoft النشاط الأولي إلى مجموعة من الجهات، من بينها Storm-3121 وStorm-3032، مع الإشارة إلى أن الإسناد لا يقتصر عليهما.
كيف أعددنا هذا الخبر؟
اعتمد الخبر على المصدر الأصلي الموضح أعلاه. قد نستخدم أدوات آلية للمساعدة في الاستخراج والتصنيف والصياغة،
لكن النشر يخضع لقواعد تمنع المحتوى المكرر والقصير أو الروتيني منخفض القيمة.
اقرأ سياستنا التحريرية.